Krypto-Diebstahl und Ledger-Hack: Steuerliche Behandlung gestohlener Coins und was Betroffene jetzt tun

Seit dem 9. Oktober 2026 werden Wallets von Nutzern geleert, die ihr Ledger-Gerät beim Wiederverkäufer (Reseller) CryptoBilis gekauft haben. Ledger bestätigte, dass das Gerät eines betroffenen Nutzers ein unerlaubtes Hardware-Implantat enthielt. Analysten, die Blockchain-Transaktionen auswerten, nennen Verluste von mehr als 72 Millionen US-Dollar in frühen Auswertungen. Nach der Zählung von Bitquery sind es 102,0 Millionen US-Dollar. Ledger hat diese Zahlen nach eigenen Angaben nicht vollständig geprüft.

Die gemeldeten Fälle betreffen vor allem Käufer in Südostasien, doch der Vorfall hat auch einen Bezug zu Deutschland. Am 13. Oktober 2026 stoppte MediaMarkt Saturn den Verkauf von Ledger-Geräten, nachdem ein Kunde aus Deutschland ein Implantat gemeldet hatte. Die steuerliche Frage, wie gestohlene Coins zu behandeln sind, ist in Deutschland nicht abschließend geklärt.

Was beim Ledger-Vorfall bekannt ist

Ledger untersucht seit dem 9. Oktober 2026 Berichte über geleerte Wallets und bat CryptoBilis, alle Verkäufe und Lieferungen von Ledger-Geräten zu stoppen. Medienberichten zufolge ist CryptoBilis ein offizieller Ledger-Reseller in Indonesien, Malaysia und auf den Philippinen.

Am 10. Oktober bestätigte Ledger ein Implantat in mindestens einem Gerät. Am 11. Oktober erklärte Ledger, dass alle bestätigten Fälle vom 9. Oktober Geräte betreffen, die CryptoBilis verkauft hat.

Am 13. Oktober erklärte Ledgers Sicherheitsteam Donjon, wie das Implantat arbeitet. Es liest bei der Einrichtung die 24 Wörter der Recovery Phrase vom Display ab und sendet sie über eine Mobilfunkverbindung an die Täter. Mit dieser Phrase lässt sich eine Wallet auf jedem anderen Gerät wiederherstellen und leeren.

Laut Ledger verändert das Implantat weder den Sicherheitschip noch das Betriebssystem noch die Transaktionen. Ledger spricht von einem physischen Angriff auf die Lieferkette und nicht von einem Einbruch in die eigenen Systeme. Der Echtheitstest von Ledger (Genuine Check) erkennt ein solches Implantat nicht, solange der Original-Chip unverändert ist.

Zum Schaden gibt es je nach Analyst unterschiedliche Zahlen:

Wer das Gerät manipuliert hat und an welcher Stelle der Lieferkette das geschah, untersucht Ledger noch.

Der deutsche Fall ist bisher offen. MediaMarkt Saturn stoppte den Verkauf mit Ledgers Zustimmung, solange die Untersuchung läuft. Laut Ledger ist in diesem Fall kein Geld verloren gegangen. Ob das gemeldete Implantat mit dem Fall CryptoBilis zusammenhängt, hat Ledger nicht bestätigt.

Gestohlene Coins und Steuer: Was in Deutschland gilt

Die folgenden Hinweise gelten für Coins im Privatvermögen, also wenn du Krypto als Privatperson hältst. Gehören deine Coins zu einem Betrieb, gelten andere Regeln für die Gewinnermittlung. Du solltest den Fall mit einem Steuerberater klären.

Ein Diebstahl ist weder Verkauf noch Tausch

Gewinne aus dem Verkauf oder Tausch von Coins sind als private Veräußerungsgeschäfte steuerpflichtig, wenn zwischen Kauf und Verkauf höchstens ein Jahr liegt. Dafür braucht es einen Kauf und eine Veräußerung.

Vom Dieb erhältst du kein Geld und keine anderen Coins. Ein Diebstahl ist deshalb keine Veräußerung. Nach unserer Einschätzung entsteht damit kein Verlust, den du mit Gewinnen aus anderen Verkäufen verrechnen kannst. Ob der Diebstahl trotzdem als Verlust zählt, ist offen.

Verluste aus Verkäufen innerhalb eines Jahres gleichen nur Gewinne aus anderen privaten Veräußerungsgeschäften aus. Das funktioniert im selben Jahr, im Vorjahr oder in Folgejahren.

Wie sich das auswirkt, zeigt ein Beispiel mit angenommenen Zahlen. Es geht davon aus, dass das Finanzamt den Diebstahl nicht als Verlust anerkennt. Du hast 2026 durch Verkäufe innerhalb eines Jahres einen Gewinn von 4.000 Euro erzielt. Außerdem wurden Coins gestohlen, die du für 6.000 Euro gekauft hattest. Gebühren lassen wir außen vor.

Der Gesamtgewinn liegt über der Freigrenze von 1.000 Euro und ist deshalb voll steuerpflichtig. Machst du den Diebstahl als Verlust geltend, kann das Finanzamt ihn ablehnen. Wie es entscheidet, ist nicht geklärt.

Warum die Rechtslage offen bleibt

Eine Regel zu gestohlenen Kryptowerten enthält das BMF-Schreiben vom 6. März 2025 nicht. Eine Entscheidung des Bundesfinanzhofs zu dieser Frage ist uns nicht bekannt.

Vereinzelt wird in der steuerlichen Beratungspraxis eine andere Ansicht vertreten. Vertreter dieser Ansicht verweisen auf ein Urteil des Bundesfinanzhofs: Ein Verlust kann zählen, wenn Aktionären ihre Aktien bei einer Insolvenz ohne Entschädigung entzogen werden. Dasselbe soll für Coins gelten, die du ohne eigenes Verschulden endgültig nicht mehr erreichen kannst. Das gilt nach ihrer Ansicht vor allem für Verluste innerhalb der einjährigen Haltefrist. Das ist eine Rechtsauffassung, die das Finanzamt nicht teilen muss.

Ersetzt dir eine Börse den Schaden, bleibt kein Verlust übrig. Beispielsweise hat Bitget nach eigenen Angaben den finanziellen Schaden des Hacks im September 2026 über seinen Schutzfonds aufgefangen. Willst du den Diebstahl dennoch als Verlust geltend machen, kann ein Steuerberater helfen. Du kannst ihn über den CoinTracking Full-Service optional hinzuziehen.

Coins auf ein neues Gerät umziehen: Entsteht dabei Steuer?

Ledger rät Käufern von CryptoBilis, ihre Coins auf ein neues Ledger-Gerät mit neuer Recovery Phrase zu übertragen. Das löst keine Steuer aus, denn du überträgst die Coins an dich selbst und erhältst kein Entgelt. Die Haltefrist läuft dabei weiter. Sie beginnt nur nach einem Tausch neu.

Halte Datum, Menge sowie die alte und die neue Wallet-Adresse fest. Das Finanzamt kann Angaben zu den genutzten Wallet-Adressen anfordern.

Was du nach einem Diebstahl dokumentieren solltest

Nach einem Diebstahl von deiner Hardware-Wallet solltest du in jedem Fall eine lückenlose Dokumentation bereithalten.

• Sichere Datum, Menge und Kaufpreis in Euro der betroffenen Coins.
• Exportiere die Wallet-Adressen und Transaktionen des Diebstahls, zum Beispiel von einem Block Explorer, einer Website zur Einsicht von Blockchain-Transaktionen.
• Bewahre den Kaufbeleg des Geräts und den Namen des Händlers auf.
• Speichere alle Mitteilungen von Ledger und vom Händler.
• Erstatte Anzeige bei der Polizei. Ledger rät Betroffenen außerdem, sich vor dem Öffnen des Geräts mit den Strafverfolgungsbehörden abzustimmen.

Hardware-Wallet kaufen: So vermeidest du manipulierte Geräte

Ledger empfiehlt, Geräte nur bei Ledger selbst oder bei autorisierten Händlern zu kaufen. Bei Online-Marktplätzen mahnt Ledger zu hoher Vorsicht, und bei Amazon solltest du die Angabe zum Verkäufer mit der offiziellen Händlerliste von Ledger vergleichen.

Für die Einrichtung nennt Ledger diese Punkte:

• Führe bei der Einrichtung immer den Genuine Check in der Ledger-App durch, auch wenn er ein Implantat nicht erkennt.
• Nutze kein Gerät mit vorgegebener Recovery Phrase oder PIN. Ein echtes Ledger-Gerät kommt laut Ledger nie so.
• Benutze ein Gerät nicht, wenn die Verpackung geöffnet oder verändert wirkt, und kontaktiere den Ledger Support.
• Gib die Recovery Phrase niemals in einer App ein und teile sie mit niemandem, auch nicht mit Ledger.
• Schließe kein Ersatzgerät an, das dir unaufgefordert zugeschickt wurde.

Hast du ein Gerät bei CryptoBilis gekauft und noch nicht eingerichtet, richte es laut Ledger nicht ein und kontaktiere den Ledger Support. Der Support ruft dich laut Ledger nie an, schreibt dich nie direkt an und fragt nie nach den 24 Wörtern. Ledger weist außerdem darauf hin, dass keine Lieferkette vollständig immun gegen Manipulation ist.

Fazit

Gestohlene Coins sind steuerlich keine Veräußerung. Ob du den Diebstahl trotzdem als Verlust geltend machen kannst, ist in Deutschland offen. Plane deshalb nicht fest mit einer Entlastung durch das Finanzamt. Sichere stattdessen deine Belege und kaufe Hardware-Wallets nur über die Kanäle, die Ledger empfiehlt.